{"id":120749,"date":"2024-11-28T21:45:59","date_gmt":"2024-11-28T19:45:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-tuned-pozvolyayushhaya-vypolnit-kod-s-pravami-root"},"modified":"2024-11-28T21:45:59","modified_gmt":"2024-11-28T19:45:59","slug":"uyazvimost-v-tuned-pozvolyayushhaya-vypolnit-kod-s-pravami-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-tuned-pozvolyayushhaya-vypolnit-kod-s-pravami-root","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans tuned permettant d'ex\u00e9cuter du code avec des droits root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans le processus en arri\u00e8re-plan d\u00e9velopp\u00e9 par Red Hat appel\u00e9 tuned, qui effectue l'optimisation automatique des r\u00e9glages mat\u00e9rielles et du noyau en fonction de la charge actuelle, une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte (CVE-2024-52336), permettant \u00e0 un utilisateur local non privil\u00e9gi\u00e9 d'ex\u00e9cuter n'importe quelle commande avec des droits root. <\/p>\n
Le probl\u00e8me se situe dans l'impl\u00e9mentation de la m\u00e9thode DBus \u00ab com.redhat.tuned.instance_create \u00bb, utilis\u00e9e pour cr\u00e9er des instances de plugins, dans laquelle il est possible de transmettre des param\u00e8tres \u00ab script_pre \u00bb et \u00ab script_post \u00bb pour sp\u00e9cifier les scripts \u00e0 ex\u00e9cuter avant ou apr\u00e8s la cr\u00e9ation de l'instance du plugin. Le probl\u00e8me est que les param\u00e8tres Polkit permettent \u00e0 tout utilisateur local connect\u00e9, sans authentification, d'envoyer une requ\u00eate DBus \u00e0 cette m\u00e9thode, alors que le processus tuned s'ex\u00e9cute avec des droits root et lance \u00e9galement les scripts sp\u00e9cifi\u00e9s dans les param\u00e8tres \u00ab script_pre \u00bb et \u00ab script_post \u00bb avec des droits root. Par exemple, pour ex\u00e9cuter le script \/path\/to\/myscript.sh avec des droits root, il suffit \u00e0 l'utilisateur d'ex\u00e9cuter la commande : gdbus call -y -d com.redhat.tuned -o \/Tuned -m com.redhat.tuned.control.instance_create cpu myinstance '{\u00ab script_pre \u00bb: \u00ab \/path\/to\/myscript.sh \u00bb, \u00ab devices \u00bb: \u00ab * \u00bb}' <\/p>\n
La m\u00e9thode DBus \u00ab com.redhat.tuned.instance_create \u00bb pr\u00e9sente \u00e9galement une vuln\u00e9rabilit\u00e9 moins dangereuse (CVE-2024-52337), caus\u00e9e par l'absence de nettoyage de la valeur du nom de l'instance du plugin lors de son affichage dans le journal. Un attaquant peut ajouter un nom contenant des retours \u00e0 la ligne et des caract\u00e8res d'\u00e9chappement pour l'\u00e9mulateur de terminal, qui peuvent \u00eatre utilis\u00e9s pour perturber la structure du journal et ex\u00e9cuter des actions lors de l'affichage de la sortie de la commande \u00ab tuned-adm get_instances \u00bb dans le terminal. EVIL=`echo -e \u00ab this is\nevil\\033[?1047h \u00bb` gdbus call -y -d com.redhat.tuned -o \/Tuned -m com.redhat.tuned.control.instance_create cpu \u00ab $EVIL \u00bb '{\u00ab devices \u00bb: \u00ab * \u00bb}' <\/p>\n
Les vuln\u00e9rabilit\u00e9s se manifestent \u00e0 partir de la version tuned 2.23, publi\u00e9e au d\u00e9but de juin 2024, et ont \u00e9t\u00e9 corrig\u00e9es dans la version tuned 2.24.1. Parmi les principales distributions, les probl\u00e8mes ont \u00e9t\u00e9 corrig\u00e9s dans RHEL 9, Fedora 40, Arch Linux et Gentoo. Dans les branches stables d'Ubuntu, Debian et SUSE\/openSUSE, les vuln\u00e9rabilit\u00e9s ne se manifestent pas, car elles incluent d'anciennes versions de tuned (<2.23), qui ne sont pas vuln\u00e9rables. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"